4711 Yonge Street Suite 700 Toronto ON M2N 6K8 Telephone: 416-325-9444 Toll Free 1-800-268-6653 Fax: 416-325-9722 4711, rue Yonge Bureau 700 Toronto (Ontario) M2N 6K8 Téléphone : 416 325-9444 Sans frais : 1 800 268-6653 Télécopieur : 416 325-9722 Septembre 2011 Note d orientation : Gestion des risques d'entreprise (GRE) Cette note d'orientation, qui est destinée aux caisses populaires de catégorie 2, énonce les exigences de base pour un programme de gestion du risque d entreprise. Elle identifie les domaines critiques qui seront considérés dans l'évaluation de l'efficacité du programme de GRE de la caisse populaire comme l'exige le règlement nº 5 de la SOAD, Saines pratiques commerciales et financières. Ce document décrit également les caractéristiques typiques d'un programme de GRE et fournit des indications supplémentaires sur les responsabilités du conseil d'administration, du comité d audit (ou tout autre comité désigné) et de la direction pour déployer un programme de GRE efficace. Des informations complémentaires sont décrites dans le Cadre de GRE et le Guide d'application de la GRE qui sont disponibles sur le site Web de la SOAD. Table des matières Page 1. Introduction 2 2. Politique de GRE 2 3. Propension au risque et tolérances au risque 3 4. Responsabilités clés 3 5. Présentation de rapports 4 6. Attentes de la SOAD et critères d'évaluation des risques 5 Date : Septembre 2011
1. Introduction La gestion du risque d'entreprise (GRE) englobe les méthodes et processus utilisés par des organisations pour définir et gérer les risques importants. Un risque important est défini comme un événement ou une activité qui peut nuire de façon importante ou substantiellement à la capacité de la caisse populaire d'atteindre ses objectifs, ou comme un événement ou une activité qui peut faire manquer une opportunité importante. La GRE est un processus itératif. Elle fournit un cadre qui nécessite généralement un certain nombre d'étapes clés, incluant la reconnaissance du risque, l'évaluation et la mesure du risque, l'intervention et les mesures à prendre en cas de risque, le contrôle et la divulgation, et l'application des leçons apprises. En détectant et en analysant activement les risques importants, la caisse populaire protège et crée de la valeur pour ses intervenants. Bien que les objectifs soient les mêmes, il y a de nombreuses approches différentes qui peuvent être considérées pour mettre en œuvre un programme de GRE efficace. Chacun a ses propres attributs et aucune approche unique n'est nécessairement meilleure que l'autre. Toutefois, quelle que soit l'approche adoptée, il est important qu'elle soit adaptée correctement pour refléter la taille et la complexité de la caisse populaire. Le conseil d'administration joue un rôle essentiel dans l'établissement de la propension au risque et la supervision des systèmes, des processus et des pratiques de gestion du risque d'entreprise. Cette responsabilité exige une compréhension des processus de GRE et de la nature et l'étendue des risques que la caisse populaire doit affronter. Un élément essentiel dans le processus d'évaluation des risques est de reconnaître et de hiérarchiser les risques plus importants par ordre de gravité dans le contexte de la probabilité et de l'impact de leur survenance. Bien qu'il soit important pour le conseil de comprendre l'ampleur des risques que la caisse doit affronter, ce processus permet au conseil d'administration de se concentrer sur les risques critiques de la caisse. 2. Politique de GRE La ou les politiques de GRE devraient décrire l'approche globale de gestion du risque, les principales responsabilités et les exigences de divulgation. Il est également important de documenter la manière dont les risques sont reconnus, hiérarchisés, évalués et gérés, ainsi que la nature et l'importance des rapports et des responsabilités de supervision. Au minimum, la politique de GRE devrait aborder : la propension au risque et les tolérances au risque de la caisse populaire; les responsabilités clés du conseil d'administration, du comité d audit (ou de tout autre comité mandaté) et de la direction; la fréquence, la forme et le contenu des exigences de présentation des rapports. Les politiques de GRE, incluant la déclaration de la propension au risque, devraient être revues au moins annuellement. Date : Septembre 2011 Page 2
3. Propension au risque et niveaux de tolérances au risque La propension au risque est le degré de risque, sur une large échelle, qu'une caisse populaire est disposée à accepter ou à prendre en considération dans la poursuite de ses objectifs. La caisse populaire doit rédiger une déclaration appropriée de la propension au risque qui décrit son approche globale du risque, incluant tout attribut quantitatif ou qualitatif, le cas échéant. La tolérance au risque est le niveau quantifié de risque que la caisse est prête à accepter dans diverses zones de risque. Les tolérances au risque aident à évaluer et à surveiller les expositions aux risques importants et la qualité des activités de gestion du risque. Les risques qui figurent substantiellement en dehors des tolérances de risque reconnues peuvent indiquer des changements dans les facteurs externes ou des stratégies de gestion du risque inefficaces qui doivent être abordés. La propension au risque et la tolérance au risque d'une caisse devraient être influencées par sa capacité à résister aux conséquences néfastes. La propension au risque et la tolérance au risque devraient varier en fonction de l'efficacité des processus et des structures de gestion du risque, la capacité de gain de la caisse et son niveau et la qualité de sa capitalisation. Une plus grande capacité à absorber des conséquences néfastes offre une plus grande occasion d'adopter une propension au risque et de fixer des tolérances au risque plus élevées, le cas échéant. Une faible capacité à absorber des conséquences néfastes devrait être en soi un indicateur que le niveau de tolérance au risque et la propension au risque de la caisse populaire sont beaucoup plus faibles. 4. Principales responsabilités Le conseil d'administration est responsable : de l'établissement des niveaux de propension au risque de superviser les activités de GRE de la caisse populaire; de comprendre la nature et l'ampleur des risques notables auxquels la caisse populaire est exposée; d'examiner les rapports sur l'évaluation des niveaux de risque par rapport aux cibles stratégiques de risque définies; de revoir les politiques de gestion du risque annuellement, incluant la propension au risque et les stratégies pour assurer que les expositions au risque demeurent appropriées et prudentes. Le comité d audit ou tout autre comité désigné est chargé : d'examiner l'identification par la direction des risques notables de la caisse populaire conformément à la politique de GRE; de veiller à la mise en place de processus de gestion du risque pour mesurer, surveiller, gérer et atténuer ces risques, notamment en appliquant des politiques, des procédures et des contrôles pertinents; Date : Septembre 2011 Page 3
de superviser l'application des pratiques de GRE et l'identification continue des risques émergents; de faire le rapport au conseil d'administration sur les niveaux d'exposition au risque. La direction est responsable : de l'établissement des niveaux de tolérance au risque correspondant à la propension au risque approuvée par le conseil; de reconnaître, de mesurer et d'évaluer les expositions importantes au risque stratégique, commercial et de processus; d'assurer qu'un niveau convenable de ressources soit alloué conformément aux cibles de propension au risque pour l'évaluation et la gestion du risque; d'atténuer l'exposition au risque à travers les réponses adéquates au risque; de la surveillance de l'application des stratégies de réponses et d'atténuation du risque; de l'élaboration des rapports sur les processus et les découvertes de GRE, notamment le niveau et la direction des expositions au risque et l'ampleur des activités de gestion de risque. 5. Présentation de rapports Les rapports sont un élément important de la gestion et de la surveillance efficaces du risque. Bien qu'il n'y ait pas de format standard recommandé pour la présentation de rapports de GRE, il est important que les rapports définissent clairement le profil de risque de la caisse et l'état des risques importants. Les rapports doivent inclure les renseignements suivants : la nature et l'ampleur des risques et des occasions notables; souligner tous les risques notables et ceux qui dépassent les niveaux de risque établis; identifier l'horizon temporel et l'état de toute activité de gestion de risque supplémentaire qui pourraient être nécessaires pour amener les risques dans des limites approuvées de niveaux de risque; identifier les tendances négatives des domaines de risque élevé et toute modification dans les activités de gestion du risque; souligner tout nouveau risque, notamment les activités d'évaluation, de réponse et de gestion; identifier tout risque matériel émergent; reconnaître toute exception aux politiques ou limites définies pour les risques clés ou les zones de risques. En outre, le comité d audit ou tout autre comité désigné devrait faire rapport au conseil d'administration dans son examen des activités de gestion du risque, notamment l'état de toutes expositions et tendances notables actuelles ou émergentes. Date : Septembre 2011 Page 4
Le conseil d'administration devrait examiner périodiquement tous les domaines de risque (même ceux qui sont atténués de façon appropriée et qui ne dépassent pas les limites acceptées) afin d'avoir une compréhension complète des risques notables auxquels est confrontée la caisse populaire. 6. Attentes et critères d'évaluation de la SOAD Toutes les caisses populaires sont censées adopter une approche prudente et disciplinée en matière de gestion du risque. Ceci comprend la mise en œuvre d'un programme de GRE robuste qui reconnaît et qui aborde tous les domaines de risque importants. Dans le cadre de son processus continu d'évaluation des risques, la SOAD évaluera la qualité du programme et des processus de GRE dans le contexte de la taille et de la complexité de la caisse, ainsi que son profil de risque et sa capacité de risque. Ceci comprendra la considération et l'examen : du niveau de compréhension de la GRE par le conseil d'administration et du profil de risque de la caisse; de la propension et les tolérances au risque en rapport avec le bénéfice et le capital actuels et les prévisions de bénéfice et de capital; de l'identification, de la mesure et de la supervision des risques notables et de tout risque émergent; du contenu, de la qualité et de la fréquence des rapports de GRE; de l'importance et de la nature des discussions et de l'examen des rapports de GRE par le conseil d'administration; de la supervision des régimes d'action visant à traiter tout domaine de risque résiduel élevé; du risque total par rapport au bénéfice net et au capital. Date : Septembre 2011 Page 5